En bref. Créez une règle personnalisée avec l’action Skip, définissez les conditions de correspondance et sélectionnez les règles ou les produits de sécurité à contourner.

Définition : Une règle d’exclusion (skip rule) est une règle personnalisée du pare-feu applicatif web (WAF) de Cloudflare qui applique l’action Skip aux requêtes remplissant ses conditions. Les options sélectionnées déterminent les règles ou les produits de sécurité dont ces requêtes contournent les contrôles.

Points clés

Au 17 octobre 2026, la documentation des règles personnalisées de Cloudflare définit une règle par une expression de correspondance et une action.
Le guide du tableau de bord de Cloudflare situe la création des règles personnalisées dans Security rules > Create rule > Custom rules.
Les options d’exclusion disponibles de Cloudflare comprennent les règles de limitation du débit (rate limiting), Super Bot Fight Mode et les règles gérées du WAF (WAF Managed Rules). Bot Fight Mode ne peut pas faire l’objet d’une exclusion.

Comment créer la règle dans le tableau de bord ?

Le guide de création de Cloudflare décrit la procédure suivante :

Ouvrir Security rules, puis sélectionner Create rule > Custom rules.
Saisir un nom descriptif dans Rule name.
Sous When incoming requests match, sélectionner une propriété HTTP dans Field, un opérateur dans Operator et une valeur dans Value. Ces conditions définissent les requêtes auxquelles la règle s’applique.
Sous Then take action, sélectionner Skip dans Choose action. Sélectionner les fonctions de sécurité à contourner.
Sélectionner Deploy pour activer la règle, ou Save as Draft pour la conserver en vue d’un déploiement ultérieur.

La sélection à la quatrième étape suit la référence des options d’exclusion de Cloudflare. L’option All remaining custom rules exclut les règles restantes du jeu de règles courant, c’est-à-dire un ensemble de règles évaluées conjointement. Sélectionner une option de phase permet de contourner l’étape de traitement correspondante.

Quelles fonctions de sécurité l’action Skip permet-elle de contourner ?

La référence des options d’exclusion de Cloudflare associe les options de phase aux valeurs d’API suivantes :

Fonction de sécurité	Identifiant de phase
Règles de limitation du débit	`http_ratelimit`
Règles Super Bot Fight Mode	`http_request_sbfm`
Règles gérées du WAF	`http_request_firewall_managed`

Par exemple, le paramètre d’action de l’API permettant d’exclure la phase des règles gérées est :

{
  "phases": ["http_request_firewall_managed"]
}

Les produits de sécurité qui fonctionnent en dehors du Ruleset Engine, le système d’évaluation des règles de Cloudflare, utilisent un paramètre d’action distinct, products. Les produits disponibles comprennent Zone Lockdown, User Agent Blocking, Browser Integrity Check, Hotlink Protection, Security Level, ainsi que les versions précédentes des règles de limitation du débit et des règles gérées. L’exclusion d’une phase laisse ces produits en dehors du périmètre de l’exclusion.

L’option All remaining custom rules in this phase utilise phase: "current". Elle s’applique uniquement au niveau de la zone et exclut aussi les règles des jeux de règles personnalisés exécutés ultérieurement dans la phase des règles personnalisées. Une règle d’exclusion au niveau du compte utilisant phases exclut les phases indiquées aux niveaux du compte et de la zone.

Pourquoi l’ordre des règles et la journalisation comptent-ils ?

La présentation des règles personnalisées de Cloudflare indique que les règles s’exécutent dans l’ordre. Une action Block antérieure arrête l’évaluation : une règle d’exclusion destinée à contourner ce blocage doit donc la précéder.

L’option de journalisation de Cloudflare s’intitule Log matching requests. La maintenir activée conserve la visibilité des requêtes correspondantes dans Security Events. La valeur par défaut dans l’API est true ; la désactiver empêche ces requêtes d’y apparaître.

Termes associés

Questions fréquentes

Puis-je exclure Bot Fight Mode ?

Non. Les options d’exclusion de Cloudflare prennent en charge Super Bot Fight Mode. Bot Fight Mode ne fait pas partie des options disponibles.

L’exclusion des règles gérées exclut-elle aussi Browser Integrity Check ?

Non. Selon les options de produits de la même documentation, Browser Integrity Check nécessite de sélectionner le produit séparément. Sa valeur d’API, sensible à la casse, est bic.

Sources

Vérifiez comment une page se lit pour les moteurs de réponse. Ouvrir l’analyseur de score GEO

Comment créer une règle d’exclusion dans le WAF de Cloudflare ?